ISO 22301:2019 Система менеджмента непрерывности бизнеса
Когда что-то идёт не так — сбой, пожар, кибератака, отказ поставщика, — вы знаете, что критично, сколько у вас времени и кто что делает.
- анализ воздействия на бизнес
- BIA
- целевое время восстановления
- RTO
- обязательных разделов (4–10)
- 7
- срок действия сертификата
- 3 г.
Третья редакция в разработке
Действующая редакция — ISO 22301:2019 с Изменением 1:2024. Третья редакция в 2026 году находится на ранней стадии разработки, поэтому сертификация по текущей версии полностью актуальна.
Что такое ISO 22301
ISO 22301 устанавливает требования к системе менеджмента непрерывности бизнеса. Она гарантирует, что критичные процессы продолжатся или будут восстановлены в приемлемые сроки после сбоя.
В её основе — анализ воздействия на бизнес (BIA): какие процессы критичны, как долго они могут простаивать и какие ресурсы им нужны.
Стандарт тесно связан с требованиями устойчивости NIS2 и DORA и с ISO/IEC 27001 — мерой 5.30 «Готовность ИКТ к обеспечению непрерывности бизнеса».
Сколько стоит час простоя?
ISO 22301 — для любой организации, для которой остановка обходится дорого: финансово, по договорам или для репутации. Посчитайте хотя бы упущенную выручку.
- ИТ, хостинг и SaaS
- Банки, страховщики и платёжные учреждения (DORA)
- Субъекты NIS2
- Логистика и курьеры
- Производство «точно в срок»
- Здравоохранение и лаборатории
- Поставщики государства и муниципалитетов
- Колл-центры и аутсорсинг
Среда, 08:30 — нет света, нет интернета
Авария отключает электричество и связь в главном офисе логистической компании. Вот как выглядит день, когда план непрерывности готов.
Сбой
В офисе нет электричества и интернета. Заказы остановлены.
- Сигнал кризисной команде
- Оценка воздействия
- Решение о запуске плана
Активация
Кризисная команда собирается онлайн за 15 минут.
- Роли по плану
- Сообщение клиентам
- Связь с поставщиками
Стратегия
Команды переходят на удалённую работу и резервную связь.
- Облачные системы
- Резервный 4G-интернет
- Приоритеты по анализу воздействия
Восстановление
Критичные процессы восстановлены до своих RTO.
- Заказы — за 3 часа
- Склад — за 6 часов
- Выставление счетов — за 20 часов
Выводы
Разбор после инцидента улучшает план.
- Отчёт после инцидента
- Обновлённый план и контакты
- Новые учения через 6 месяцев
Одна система — несколько требований
Непрерывность — уже обязанность по закону и по договору. ISO 22301 — признанный способ её обеспечить и доказать.
NIS2 Непрерывность, резервные копии, восстановление и кризисное управление Анализ воздействия, стратегии, планы и учения DORA Политика непрерывности ИКТ и тестирование планов Документированные планы и программа учений ISO 27001 Меры 5.29 и 5.30 — безопасность при сбое и готовность ИКТ Полная система вместо отдельных мер GDPR Доступность и восстановление персональных данных (ст. 32) Сроки восстановления и допустимая потеря данных Клиенты Договорные SLA и анкеты поставщиков Сертификат вместо длинных анкет Страховщики Доказанные меры для кибер- и имущественных полисов Протоколы учений и тестов План, который работает в 8:30 утра
Не толстое руководство, а короткие и понятные планы, которые люди знают, потому что их отрабатывали.
Бесплатная консультация- Анализ воздействия на бизнес (BIA)
- Сроки восстановления (RTO и RPO) по процессам
- Оценка риска сбоев
- Стратегии для людей, помещений, ИТ и поставщиков
- План управления инцидентами и кризисами
- Планы восстановления по процессам
- Учения с протоколом и рекомендациями
- Внутренний аудит и анализ руководством
Устойчивость и безопасность — вместе
ISO 22301 имеет общую структуру с ISO 27001 и является естественной основой требований к устойчивости.
Структура стандарта
Разделы 4–10 обязательны. Практическое ядро — раздел 8: от анализа до учений.
Раздел 4 — Контекст организации
Продукция и услуги, заинтересованные стороны, законодательные требования, область системы.
Раздел 5 — Лидерство
Обязательства руководства, политика непрерывности, роли и ответственность.
Раздел 6 — Планирование
Риски и возможности, цели непрерывности, планирование изменений.
Раздел 7 — Обеспечение
Ресурсы, компетентность, осведомлённость, коммуникации, документированная информация.
Раздел 8 — Деятельность
BIA и оценка рисков, стратегии и решения, планы непрерывности, программа учений.
Раздел 9 — Оценка результатов
Мониторинг, оценка документации и возможностей, внутренний аудит, анализ.
Раздел 10 — Улучшение
Несоответствия, корректирующие действия, постоянное улучшение.
Ключевые элементы раздела 8
Практическое ядро стандарта — от анализа воздействия до отработанных учений.
- 01
Анализ воздействия на бизнес (BIA)
Какие процессы критичны и во что обходится каждый час простоя.
- 02
Цели восстановления
Максимально допустимый простой, целевое время восстановления (RTO) и допустимая потеря данных.
- 03
Оценка рисков
Какие сбои вероятны и как их снизить.
- 04
Стратегии и решения
Резервные площадки, бэкапы, альтернативные поставщики, удалённая работа.
- 05
Планы непрерывности
Кто и в каком порядке действует при инциденте.
- 06
Учения и тесты
Планы проверяются на практике до того, как понадобятся.
Что вы получаете
Устойчивость при сбое
Критичные услуги восстанавливаются в согласованные сроки.
Основа для NIS2 и DORA
Признанный каркас для требований к непрерывности и восстановлению.
Доверие клиентов
Договоры всё чаще требуют доказанной непрерывности.
Меньше потерь
Более короткий простой — меньше упущенной выручки.
Ясные роли в кризис
Никто не импровизирует, когда нет времени.
Синергия с ISO 27001
Общая структура и общие меры готовности ИКТ.
Путь к сертификату
Шесть этапов с понятным результатом на каждом.
- 01 1–2 нед.
Область и контекст
Какие продукты, услуги и площадки входят в систему.
- 02 2–4 нед.
BIA и оценка рисков
Критичные процессы, цели восстановления, риски.
- 03 2–3 нед.
Стратегии
Решения по ресурсам, людям, ИТ и поставщикам.
- 04 2–4 нед.
Планы непрерывности
Планы реагирования и восстановления.
- 05 1–2 нед.
Учения и внутренний аудит
Проверка планов на практике.
- 06 Этап 1 + 2
Сертификационный аудит
Этап 1 и Этап 2 аккредитованным органом.
Сроки и стоимость — от чего зависят
Стоимость зависит прежде всего от числа критичных процессов и зависимости от ИТ. Вот факторы — плюс калькулятор.
Сотрудники и площадки
Определяют объём работ и аудиторские дни.
Критичные процессы
Сколько продуктов и услуг нужно защитить.
Зависимость от ИТ
Системы, облачные сервисы, бэкапы и резервные решения.
Поставщики
Критичные поставщики и их собственные планы.
Учения
Масштаб учений и тестов.
Оплата сертификации
Оплачивается отдельно органу по сертификации.
01 Чем план непрерывности отличается от ISO 22301?
План непрерывности бизнеса (BCP) — это документ. ISO 22301 — вся система вокруг него: анализ, стратегии, учения, ответственность и улучшение.
02 Связан ли он с NIS2 и DORA?
Да. Обе требуют мер непрерывности, резервного копирования и восстановления. ISO 22301 — признанный каркас для их выполнения.
03 Можно ли совместить с ISO 27001?
Да — структура общая, а меры непрерывности из Annex A ISO 27001 закрываются естественным образом.
04 Как часто проводить учения?
Стандарт требует программу учений и тестов с запланированной периодичностью. На практике — не реже раза в год и после существенных изменений.
05 Сколько это длится?
Обычно от 3 до 6 месяцев, в зависимости от числа критичных процессов. Ориентируйтесь по калькулятору.
Такого вопроса нет в списке — спросите нас напрямую, и мы ответим.
Первая консультация — бесплатно
Расскажите о компании и вашей цели. Вы получите чёткий план и предложение в течение одного рабочего дня.